Datenschutzerklärung

§ 1 Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Voss Mobil GmbH, Hirschanger 1, 82319 Starnberg
E-Mail: datenschutz@lakeware.ai

§ 2 Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die Schwellenwerte nach §38 BDSG nicht überschritten sind. Bei Datenschutzfragen wende dich bitte an die oben genannte E-Mail-Adresse.

§ 3 Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Plattform, ihrer Funktionen und Inhalte erforderlich ist, oder soweit eine Verarbeitung gesetzlich gestattet ist (insbesondere Art. 6 Abs. 1 DSGVO).

§ 4 Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. Newsletter, Analytics, Affiliate-Cookies)
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Account, Abo, Support)
• Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung (Aufbewahrungsfristen, Steuerrecht)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Sicherheit, Missbrauchsabwehr, anonyme Reichweitenmessung)

§ 5 Aufruf der Website (Server-Logs)

Beim Aufruf unserer Seite erfasst unser Hosting-Anbieter IONOS SE (Ernst-Abbe-Str. 1, 07743 Jena, DE) technische Daten (IP-Adresse gekürzt, User-Agent, Referrer, Zeitstempel). Zusätzlich ist dem Webauftritt das CDN Gcore S.A. (Luxemburg, EU) vorgelagert, das Anfragen beschleunigt und absichert. Zweck: Stabilität, Sicherheit, Missbrauchsabwehr. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: max. 30 Tage.

§ 6 Cookies und vergleichbare Technologien

(a) Technisch notwendige Cookies — §25 Abs. 2 TTDSG, keine Einwilligung erforderlich. Speichern Theme, Sprache und Session. Cookie-Lifetime: bis Browser-Schließen.

(b) Reichweitenmessung — Wir nutzen ausschließlich anonyme, cookielose Reichweitenmessung auf eigenem Server (Plausible, self-hosted, EU). Es werden keine personenbezogenen Daten an Dritte übermittelt; eine Einwilligung ist nicht erforderlich.

(c) Affiliate-Cookies (Awin, Check24) — mit deiner Einwilligung, §25 Abs. 1 TTDSG. Aktuell nicht aktiv, schalten erst nach Affiliate-Approval scharf.

(d) Schriften — Schriften werden lokal vom eigenen Server geladen; es erfolgt kein Abruf bei Dritt-Anbietern.

§ 7 Registrierung und Account

Für die Nutzung erheben wir: E-Mail, Passwort (oder Magic-Link-Token), optional Firma, optional Rechtsgebiet/Schwerpunkt bei Kanzlei-Signup. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: Dauer des Vertragsverhältnisses + gesetzliche Aufbewahrungsfristen.

§ 7a Anmeldung mit Drittanbieter-Konten (Single Sign-On / Social-Login)

Sie können sich – statt mit E-Mail und Passwort – wahlweise mit einem bestehenden Konto bei einem Drittanbieter anmelden („Social-Login" bzw. „Single Sign-On"). Verfügbar sind aktuell Google, Microsoft und netID; Apple ist geplant. Die Anmeldung wird technisch über unseren Identitätsanbieter ZITADEL (CAOS AG) abgewickelt, der in der EU-Region eu1 betrieben wird. Die Nutzung von Social-Login ist freiwillig und nur eine von mehreren Anmeldemöglichkeiten.

Welche Daten verarbeitet werden. Wenn Sie sich für die Anmeldung über einen Drittanbieter entscheiden, empfangen wir von diesem Anbieter ausschließlich die zur Authentifizierung erforderlichen Identitätsdaten: Ihre E-Mail-Adresse, Ihren angezeigten Namen und eine eindeutige Konto-Kennung des Anbieters (technisch die OpenID-Connect-Kennung „sub"). Bei Google fragen wir hierfür ausschließlich die OAuth-Berechtigungen (Scopes) openid, email und profile ab. Ein Zugriff auf weitere Google-Dienste oder -Inhalte (z. B. Gmail, Google Drive, Kontakte, Kalender) findet im Rahmen des Logins nicht statt.

Datenfluss ist einseitig (Inbound). Beim Social-Login werden Identitätsdaten ausschließlich vom Drittanbieter an uns übermittelt, damit wir Sie anmelden bzw. Ihr Konto anlegen können. Wir übermitteln dabei keine der in unserer Datenbank gespeicherten Kundendaten (Belege, Dokumente, Vertrags- oder Nutzungsdaten) an den jeweiligen Anbieter zurück. Der Anbieter erfährt durch den Login lediglich, dass Sie sich bei Lakeware angemeldet haben.

Zweck. Die empfangenen Daten verwenden wir ausschließlich zur Authentifizierung sowie zur Erstellung und Verwaltung Ihres Lakeware-Kontos.

Speicherung. Die Identitätsdaten werden bei unserem Identitätsanbieter ZITADEL (Betrieb in der EU-Region eu1) gespeichert. Zusätzlich legen wir in unserer Nutzerverwaltung (Datenbank bei Scaleway, Serverstandort EU) eine Zuordnung an, die im Wesentlichen aus Ihrer E-Mail-Adresse und der Konto-Kennung des Anbieters (zitadel_sub) besteht. Eine Weitergabe oder ein Verkauf dieser Daten an Dritte zu Werbe- oder Tracking-Zwecken findet nicht statt.

Rechtsgrundlage. Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen bzw. zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und auf Grundlage Ihrer mit der Wahl des Social-Logins erteilten Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Da Sie bereits ein Konto beim jeweiligen Anbieter unterhalten, entscheiden Sie mit dem Klick auf den Anbieter-Button bewusst und freiwillig, Ihre Anmeldedaten auf diesem Weg auszutauschen. Daneben besteht unser berechtigtes Interesse an einer sicheren und komfortablen Anmeldung (Art. 6 Abs. 1 lit. f DSGVO).

Drittlandübermittlung. Google, Microsoft und Apple sind US-Anbieter; bei Nutzung dieser Login-Optionen kann es zu einer Verarbeitung in den USA kommen. Wir weisen Sie hierauf transparent hin, damit Sie selbst entscheiden können. Rechtsrahmen sind das EU-US Data Privacy Framework (soweit der jeweilige Anbieter zertifiziert ist) sowie die EU-Standardvertragsklauseln (Art. 46 DSGVO). Wenn Sie eine Anmeldung ohne US-Bezug bevorzugen, steht Ihnen mit netID ein in der EU ansässiger Anbieter sowie jederzeit die klassische Anmeldung per E-Mail und Passwort zur Verfügung.

Widerruf und Löschung. Sie können die Verknüpfung mit einem Drittanbieter-Konto jederzeit beenden und Ihr Konto stattdessen mit E-Mail/Passwort fortführen oder löschen. Bei Löschung Ihres Lakeware-Kontos werden die zugehörigen Identitätsdaten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

Google API Services User Data Policy. Unsere Nutzung der von Google empfangenen Daten erfolgt im Einklang mit der Google API Services User Data Policy einschließlich deren Limited-Use-Anforderungen. Es findet keine Nutzung der Google-Anmeldedaten für Werbung, Profilbildung oder den Verkauf an Dritte statt.

§ 8 UTM-Tracking

Kommst du über einen Marketing-Link zu uns, erfassen wir die UTM-Parameter (source, medium, campaign, content, term) als Hidden-Felder beim Signup. Zweck: Wirksamkeitsmessung unserer Marketing-Kanäle. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: bis Widerruf, max. 24 Monate.

§ 9 Zahlungsabwicklung

Zahlungen wickeln wir über Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam, NL) ab. Mollie ist ein in der EU ansässiger Zahlungsdienstleister; die Datenverarbeitung erfolgt innerhalb des Europäischen Wirtschaftsraums ohne Drittlandübermittlung. Weitergegeben werden: Rechnungsdaten, Zahlungsmittel-Referenz, Betrag. Akzeptierte Zahlungsmethoden umfassen Kreditkarte, SEPA-Lastschrift sowie weitere von Mollie angebotene Verfahren. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für die Umsatzsteuerberechnung und Rechnungsstellung setzen wir Quaderno (Recrea Systems S.L., Spanien, EU) ein; übermittelt werden Rechnungs- und Transaktionsdaten.

§ 10 Terminanfragen

Terminanfragen für Sales-, Enterprise- und Kanzlei-Pilot-Gespräche erreichen uns per E-Mail. Verarbeitet werden die von Ihnen mitgeteilten Angaben (Name, E-Mail, Terminwunsch, Nachricht). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung). Ein externer Terminbuchungsdienst kommt nicht zum Einsatz.

§ 11 E-Mail-Kontakt

Eingehende E-Mails werden über Migadu GmbH (Schweiz; Datenübermittlung auf Basis des Angemessenheitsbeschlusses der EU-Kommission für die Schweiz) empfangen und verwaltet. Transaktionsmails (z.B. Bestätigungen, Benachrichtigungen) versenden wir über Brevo SAS (55 rue d'Amsterdam, 75008 Paris, FR). Inhalte verarbeiten wir zur Beantwortung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b (Vertrag/Anbahnung) oder lit. f (berechtigtes Interesse) DSGVO. Für die Weiterleitung eingehender E-Mails in unsere Verarbeitungsstrecke setzen wir zusätzlich Mailjet SAS (4 Rue Jules Lefebvre, 75009 Paris, Frankreich; EU-Verarbeitung) ein.

§ 12 Hosting und Infrastruktur

Das primäre Hosting erfolgt bei IONOS SE (Ernst-Abbe-Str. 1, 07743 Jena, DE) auf Servern in Deutschland. Für Objektspeicher und Datenbankdienste nutzen wir Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, FR; Serverstandorte innerhalb der EU). Beide Anbieter verarbeiten Daten ausschließlich innerhalb des EWR. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

§ 13 Drittlandübermittlung

Die Kern-Plattform (Hosting, Datenbank, Speicher, Auth, Zahlung, Mail, CDN, Analytics) läuft vollständig in der EU. Auch die KI-Verarbeitung erfolgt standardmäßig mit europäischen Diensten (u. a. Mistral AI, Paris) bzw. mit selbst betriebenen Modellen auf eigener EU-Infrastruktur. Eine Übermittlung in die USA findet nur dann statt, wenn Sie selbst eine entsprechende Option wählen oder aktivieren: die Anmeldung über einen US-Anbieter (Social-Login mit Google, Microsoft oder Apple — siehe § 7a), optionale Integrationen wie Google (Drive-Import) und Microsoft (M365-/SharePoint-Import) sowie — sofern Sie US-KI-Modelle ausdrücklich auswählen — Anthropic und OpenAI. Treffen Sie keine dieser Auswahlen (z. B. Anmeldung per E-Mail/Passwort oder über das EU-Login netID), erfolgt keine Übermittlung in die USA. Rechtsgrundlage: EU-Standardvertragsklauseln (Art. 46 DSGVO) und — soweit zertifiziert — das EU-US Data Privacy Framework. Die Schweiz gilt aufgrund des Angemessenheitsbeschlusses der Europäischen Kommission als sicheres Drittland; dies betrifft die Migadu GmbH (E-Mail) und die ZITADEL/CAOS AG (Authentifizierung, Betrieb in der EU-Region eu1).

§ 14 Auftragsverarbeiter

Wir setzen Auftragsverarbeiter nach Art. 28 DSGVO ein (Hosting, Zahlung, Terminbuchung, E-Mail, KI-Verarbeitung, optionale Import-Integrationen). Mit jedem dieser Dienstleister besteht eine Auftragsverarbeitungsvereinbarung (AVV). Geschäftskunden erhalten unsere AVV auf Anfrage (ab Business+ inklusive).

§ 14a Eingesetzte Auftragsverarbeiter (Sub-AVs)

Folgende Dienstleister verarbeiten Daten in unserem Auftrag gemäß Art. 28 DSGVO. Vollständige AVV-Verträge können Geschäftskunden anfragen bzw. herunterladen unter /rechtliches/avv.

• Kern-Plattform (EU/Schweiz — immer aktiv):
• IONOS SE (Ernst-Abbe-Str. 1, 07743 Jena, DE) — Web-Hosting, DE-Serverstandort
• Scaleway SAS (8 rue de la Ville l'Évêque, 75008 Paris, FR) — Objektspeicher (S3-kompatibel) und Datenbankdienste, EU-Serverstandorte
• ZITADEL (CAOS AG) (Teufener Strasse 19, 9000 St. Gallen, Schweiz — Angemessenheitsbeschluss; Betrieb in EU-Region eu1) — Authentifizierung und Identitätsverwaltung
• Brevo SAS (55 rue d'Amsterdam, 75008 Paris, FR) — Transaktionsmails und Inbound-Mail-Routing
• Mailjet SAS (Paris, Frankreich, EU) — Weiterleitung eingehender E-Mails (Inbound-Verarbeitung)
• Migadu GmbH (Schweiz; Angemessenheitsbeschluss EU-Kommission) — E-Mail-Hosting und -Verwaltung
• Gcore S.A. (Luxemburg, EU) — Content Delivery Network (CDN) für den Webauftritt
• Mollie B.V. (Keizersgracht 313, 1016 EE Amsterdam, NL) — Zahlungsabwicklung (B2C und B2B); kein Drittlandtransfer
• Quaderno (Recrea Systems S.L.) (Spanien, EU) — Umsatzsteuerberechnung und Rechnungsstellung
• Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, DE) — verschlüsselte Backups
• Mistral AI (Paris, FR — EU) — KI-LLM, EU-Verarbeitung
• Optionale Dienste — Verarbeitung NUR nach Ihrer ausdrücklichen Aktivierung:
• Anthropic Ireland Ltd. (Irland) — KI-LLM für Legal- und Document-Analyse
• OpenAI Ireland Ltd. (Irland) — KI-LLM (sekundär)
• Google Ireland Ltd. (Irland) — Gemini-API (KI-LLM, sekundär) sowie Google-Drive-Import als optionale, vom Nutzer aktivierte Integration
• Microsoft Ireland Operations Ltd. (Irland) — M365-/SharePoint-Import als optionale, vom Nutzer aktivierte Integration sowie Azure Document Intelligence (Dokument-OCR)

Webanalyse (Plausible) betreiben wir selbst gehostet auf eigener Infrastruktur in der EU; insoweit wird kein externer Auftragsverarbeiter eingesetzt.

§ 14b Affiliate-Partner und Partner-Links

Wenn du auf einen Affiliate-Link klickst (gekennzeichnet mit * oder dem Hinweis „Partner-Link"), wirst du auf die Website eines Drittanbieters (z.B. ARAG, Roland, Check24, Awin) weitergeleitet. Mit dem Klick wird eine Click-ID gesetzt, die dem Drittanbieter die Zuordnung eines Vertragsabschlusses zu uns ermöglicht. Dabei werden keine personenbezogenen Daten von uns an den Drittanbieter übertragen; ab dem Klick gelten die Datenschutzbestimmungen des jeweiligen Anbieters. Wir erhalten bei einem Vertragsabschluss eine Provision. Informationen zur Verarbeitung beim Drittanbieter findest du in dessen Datenschutzerklärung.

§ 15 Deine Rechte

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zuständige Aufsichtsbehörde für nicht-öffentliche Stellen mit Sitz in Bayern: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de. (Der BayLfD in München ist ausschließlich für öffentliche Stellen zuständig.)

§ 16 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Gesetzliche Aufbewahrungspflichten (insbesondere §147 AO, §257 HGB — bis zu 10 Jahre) bleiben unberührt.

§ 17 Export nach Kündigung

Nach Kündigung stellen wir dir 90 Tage lang einen Self-Service-Export aller Daten in allen unterstützten Formaten bereit. Danach werden die Daten gelöscht, soweit keine Aufbewahrungspflicht entgegensteht.

§ 18 Änderungen dieser Erklärung

Wir passen die Datenschutzerklärung an, wenn sich rechtliche oder tatsächliche Rahmenbedingungen ändern. Die aktuelle Version ist stets auf dieser Seite abrufbar.